[Главная](https://anonport.com/ru) / [Руководства по приватному хостингу](https://anonport.com/ru/guides) / Скрытие IP исходного сервера: CDN, обратный прокси и утечки Конфиденциальность # Скрытие IP исходного сервера Отражение атаки и сохранение анонимности — разные задачи, и решение одной может незаметно свести на нет другую. Что покрывает сетевая фильтрация, что добавляет и чего стоит CDN, как на самом деле находят исходные серверы — и как проверить свой. [Читать руководство](#guide-body) [FAQ](#guide-faq) ## На этой странице - [Руководство](#guide-body) - [FAQ](#guide-faq) - [Похожие руководства](#guide-related) - [Рекомендуемые страницы](#guide-cta) Без KYC Только крипто Без логов DMCA игнорируется Полный root NVMe SSD 17 мин чтения Обновлено Aug 2026 На этой странице [01Две задачи, которые выглядят как одна](#Две-задачи-которые-выглядят-как-одна) [02Что уже делает ваш хостер и где это заканчивается](#Что-уже-делает-ваш-хостер-и-где-это-заканчивается) [03Что скрывает CDN — и какой канал для жалоб вы получаете в придачу](#Что-скрывает-cdn-и-какой-канал-для-жалоб-вы-получаете-в-прид) [04Шесть способов, которыми исходный адрес всё равно утекает](#Шесть-способов-которыми-исходный-адрес-всё-равно-утекает) [05Как закрыть источник так, чтобы к нему мог обращаться только фронт](#Как-закрыть-источник-так-чтобы-к-нему-мог-обращаться-только-) [06Собственный фронт-узел вместо CDN](#Собственный-фронт-узел-вместо-cdn) [07Выбор в одной таблице](#Выбор-в-одной-таблице) [08Аккаунт — обычно самое слабое звено](#Аккаунт-обычно-самое-слабое-звено) [09Проверка собственной уязвимости за десять минут](#Проверка-собственной-уязвимости-за-десять-минут) [10Если адрес уже сожжён](#Если-адрес-уже-сожжён) [11Коротко](#Коротко) [FAQЧастые вопросы](#guide-faq) [→Рекомендуемые страницы](#guide-cta) «Стоит ли поставить CDN перед сервером?» — первый вопрос, который задаёт себе большинство людей после покупки офшорного сервера, и у него нет единого ответа, потому что на самом деле это два вопроса под одной обложкой. Отражение атаки и сохранение анонимности — разные задачи с разными решениями, и договорённость, решающая одну из них, может незаметно свести на нет другую. Эта путаница дорого обходится в обоих направлениях. Одни ставят крупный американский CDN перед контентом, ради которого выбрали [хостинг, игнорирующий DMCA](https://anonport.com/ru/dmca-ignored-hosting), и тем самым возвращают канал для жалоб именно тому посреднику, которого пытались избежать. Другие не делают вообще ничего, получают флуд на уровне приложений, который сетевая фильтрация в принципе не способна увидеть, и делают вывод, что защита от DDoS — обман. Это руководство разделяет две задачи, объясняет, что на самом деле делает каждый уровень защиты, и большую часть текста посвящает тому, что решает исход в любом случае: шести способам, которыми исходный адрес утекает, даже когда всё остальное настроено правильно. ## Две задачи, которые выглядят как одна Всё, что вы ставите перед сервером, выполняет одну из двух задач: удерживает атаку подальше от него или удерживает в тайне его адрес. Эти задачи достаточно похожи, чтобы их путали, и достаточно различны, чтобы решение не той из них было пустой тратой денег. | Что вас беспокоит | Что это действительно решает | Что не решает | | --- | --- | --- | | Объёмный флуд, забивающий ваш канал (уровни 3 и 4) | Фильтрация на периметре сети хостера, включена в каждый тариф | Ничего из того, что вы установите на сервере, — к этому моменту канал уже заполнен | | Прикладной флуд запросов, которые выглядят настоящими (уровень 7) | CDN или WAF, кеширование, ограничение частоты запросов, более дешёвые эндпоинты | Пакетная фильтрация — она видит корректный HTTP и пропускает его | | Сервер не должен быть доступен напрямую | Фронт (CDN или собственный узел) *плюс* файрвол, пропускающий только его | Один лишь CDN, если источник по-прежнему отвечает всему интернету | | Никто не должен узнать, кто им управляет | Регистрация без KYC, приватная оплата, дисциплина в ведении аккаунтов | Любой объём инфраструктуры — это вопрос идентичности, а не техники | | Контент должен пережить жалобы | Юрисдикция и хостер, который не реагирует на них | CDN, который **добавляет** канал для жалоб, а не убирает его | Перечитайте последнюю строку дважды — именно на ней люди чаще всего ошибаются. Всё остальное на этой странице — инженерия. Эта строка — нет. Всё, что стоит перед вашим сервером, одновременно стоит между вами и теми, кто на него жалуется, — защита в одну сторону и новый адрес для уведомлений в другую. ## Что уже делает ваш хостер и где это заканчивается Фильтрация уровней 3 и 4 включена в каждый тариф, который мы продаём, без доплаты, и работает на периметре сети, а не на вашем сервере — это единственное место, где она вообще может работать, поскольку насыщенный канал невозможно исправить чем-либо, запущенным позади него. Трафик безлимитный, поэтому атака не превращается в счёт. Для подавляющего большинства того, что люди называют «DDoS», на этом история заканчивается. Того, что она не видит, — другого рода. Пятьсот запросов в секунду к поисковому эндпоинту с сорока тысяч домашних адресов — это не искажённый трафик, это просто трафик. Slowloris-соединения, по одному заголовку раз в несколько секунд каждое, сами по себе выглядят пристойно. Форма входа, забрасываемая настоящими POST-запросами, на уровне пакетов неотличима от загруженного понедельника. Пакетный фильтр здесь бессилен, потому что с пакетами всё в порядке. **Проверка на то, нужно ли вам больше, чем сетевая фильтрация:** может ли один корректно оформленный запрос обойтись вашему серверу в сканирование базы данных, изменение размера изображения или хеширование пароля? Если да, у вас есть поверхность атаки уровня 7, и решение — кеширование, ограничение частоты запросов и более дешёвые эндпоинты, с CDN перед ними или без него. Есть одно направление трафика, по которому мы всё же вмешиваемся, и об этом стоит сказать прямо: атаки и массовый спам, *исходящие* из нашей сети, могут блокироваться через null-route, чтобы сохранить работоспособность остальной инфраструктуры. Это операционная мера, а не содержательная — подробнее это различие раскрыто в нашем [руководстве о хостинге, игнорирующем DMCA](https://anonport.com/ru/guides/dmca-ignored-hosting-explained). ## Что скрывает CDN — и какой канал для жалоб вы получаете в придачу Механизм прост и по-настоящему эффективен. Ваш домен резолвится в адреса провайдера, клиенты подключаются к ним, а провайдер сам забирает данные с вашего источника. Реальный адрес никогда не появляется в соединении клиента, поэтому его не может атаковать тот, кто знает только домен. Тот же приём объясняет, почему прикрытие CDN работает для [прокси, устойчивых к цензуре](https://anonport.com/ru/censorship-resistant-hosting/v2ray): цензор видит трафик к адресу, который он не может позволить себе заблокировать. Вместе с этим приходят три вещи, и ни одна не спрятана в мелком шрифте: - **TLS терминируется на периметре провайдера.** Внутри сети провайдера трафик — открытый текст, так и задумано: именно это позволяет работать кешированию и фильтрации. Всё, что вводят ваши пользователи, попадает к третьей стороне раньше, чем к вам. - **Канал для жалоб, которого раньше не было.** Жалобы можно подавать напрямую на CDN, и CDN на них реагирует: пересылает вам, называет вашего хостера или отключает вас. Если вы выбрали офшор именно потому, что жалобы уходят в никуда, размещение американского посредника впереди заново соединяет цепочку, за разрыв которой вы заплатили. - **Аккаунт.** Адрес электронной почты, способ оплаты, часто номер телефона — всё это привязано к вашему домену и хранится бессрочно. Подробнее об этом ниже, потому что обычно это самое слабое звено во всей схеме. Ничто из этого не делает CDN неправильным выбором. Это лишь решение с двумя сторонами: отличное для магазина или приложения с реальными пользователями и реальной нагрузкой уровня 7, и откровенно контрпродуктивное для публикаций, которые привлекают жалобы на удаление. Наш собственный ответ на этот вопрос на [странице о хостинге, игнорирующем DMCA](https://anonport.com/ru/dmca-ignored-hosting), всегда был короткой версией того же самого: для устойчивости к удалению используйте уже имеющуюся у вас сетевую фильтрацию и обойдитесь без CDN. ## Шесть способов, которыми исходный адрес всё равно утекает Это самый важный раздел, потому что скрытность — не товар, который покупают, а свойство, которое либо поддерживают, либо теряют, обычно в течение нескольких дней, из-за одной из шести причин. Исходные серверы находят каждый день даже за безупречно настроенным CDN. - **Журналы Certificate Transparency.** Каждый публично доверенный сертификат, выданный для вашего домена, в течение нескольких минут публикуется в открытых, постоянных и доступных для поиска журналах. Публикуют не ваш адрес, а ваши *имена хостов* — staging, mail, vpn, поддомен, который вы однажды настроили ещё в 2024 году. Каждое из них — кандидат на резолвинг, и достаточно одной записи, не указывающей на фронт, чтобы всё закончилось. - **История DNS.** Сервисы passive-DNS архивируют каждый адрес, в который когда-либо резолвился ваш домен. Переход за CDN впоследствии не отменяет публикацию уже записанного — скрытность должна начинаться до первого резолвинга домена, иначе вам нужен новый адрес, а не новый фронт. - **Записи, которые нельзя проксировать, и те, что вы забыли.** Записи почтовых серверов должны указывать на что-то доступное. То же касается забытой записи AAAA, если вы проксировали только IPv4, старого имени хоста для FTP или панели, wildcard-записи или «временного» тестового сервера, которому уже три года. - **Всё, что отправляет сервер.** Письмо с источника несёт его адрес в заголовках Received — письмо о сбросе пароля само раскрывает адрес. Вебхуки, исходящая загрузка изображений, превью ссылок, пингбэки, проверки обновлений и системы отчётов о сбоях — всё это обращается наружу с реального адреса, и его узнает любой, кто заставит ваше приложение обратиться к контролируемому им хосту. - **Сканирование всего интернета.** Каждый адрес IPv4 непрерывно сканируется и индексируется публичными сервисами, а результаты доступны для запроса за секунды. Если ваш источник отвечает на порту 443 вашим сертификатом или отдаёт главную страницу на любой заголовок Host, найти совпадение — вопрос одного запроса по хешу тела страницы, отпечатку сертификата или хешу favicon. Так находят большинство исходных серверов, и это ничего не стоит тому, кто ищет. - **Приложение, которое рассказывает о себе.** Абсолютные URL и редиректы с необработанным адресом внутри, открытые эндпоинты статуса или метрик, подробные трассировки стека с именами внутренних хостов, заголовки, раскрывающие бэкенд, и виртуальный хост по умолчанию, который с готовностью отдаёт ваш сайт любому, кто обратится по адресу. **Пять из этих шести пунктов — вопрос конфигурации, а не криптографии.** Ни один из них не решается более дорогим тарифом CDN, и ни один не является экзотикой — это первые шесть вещей, которые проверяет любой заинтересованный, именно в этом порядке. ## Как закрыть источник так, чтобы к нему мог обращаться только фронт Скрытность, которая держится лишь на том, что никто не угадает адрес, — не скрытность вообще. Схема работает только тогда, когда источник отказывается разговаривать с кем угодно, кроме фронта, — тогда утёкший адрес становится досадной мелочью, а не событием. - **Запрет по умолчанию, затем разрешение для фронта.** Принимайте 80 и 443 только с опубликованных диапазонов адресов провайдера и обновляйте этот список автоматически — диапазоны меняются, а устаревший список откроется или закроется в самый неподходящий момент. Всё остальное, включая SSH, должно жить в туннеле или на управляющем адресе, как описано в нашем [чек-листе для первого часа настройки VPS](https://anonport.com/ru/guides/first-hour-vps-hardening-checklist). - **Аутентифицируйте фронт.** Клиентские сертификаты между CDN и вашим источником — обычно называемые authenticated origin pulls — означают, что даже верный адрес вместе с верным заголовком Host не даёт ничего без сертификата. - **Лучше: вообще без входящих портов.** Исходящий туннель от источника к периметру — будь то собственный коннектор CDN или WireGuard до узла, которым управляете вы, — означает, что источник никогда не слушает на публичном интерфейсе. Сканирование не найдёт то, что не отвечает, и это самая надёжная версия всей схемы. - **Один виртуальный хост, один заголовок Host.** Сервер по умолчанию не должен возвращать ничего полезного. Если ваш сайт открывается по адресу, сканер найдёт совпадение в течение недели. - **Уберите почту с веб-источника.** Почта обязана быть доступной и обязана себя идентифицировать; держите её на отдельной машине, как и предполагает наше [руководство по почтовому серверу](https://anonport.com/ru/guides/offshore-mail-server-setup). - **Проверяйте извне.** Любая проверка из этого списка бессмысленна, если запущена с самого сервера. Тестируйте из сети, которая вам не принадлежит. ## Собственный фронт-узел вместо CDN Третий вариант обычно пропускают, потому что у него нет маркетингового бюджета: небольшой VPS в роли публичного лица, зашифрованный туннель обратно к машине, которая хранит данные, и nginx или HAProxy, передающие трафик между ними. Снаружи это выглядит как обычный веб-сервер. Настоящий сервер находится где-то ещё, и у него вообще нет входящих портов. Вы получаете скрытность без посторонних участников схемы — без стороннего аккаунта, без внешнего канала для жалоб, без чужака, терминирующего ваш TLS. Вы также получаете разделение по юрисдикциям, которое иначе трудно купить: фронт там, где пользователи, данные там, где закон вам подходит, выбранные из наших [семи локаций](https://anonport.com/ru/locations). А поскольку при регистрации не была привязана никакая личность, фронт одноразовый — сожжённый адрес заменяется за минуты, а не выторговывается. Чего вы не получаете — так это ёмкости anycast-сети. У одного узла ёмкость одного узла, и хотя наша сетевая фильтрация защищает его точно так же, как и любой другой сервер, по-настоящему крупная объёмная атака — это состязание по пропускной способности, которое выигрывает глобальная сеть. Честная позиция такова: фронт-узел — правильный ответ для сокрытия тяжёлого или дорогого бэкенда — хранилища, GPU-сервера, почтового сервера, базы данных — и для разделения юрисдикций. Он не заменяет CDN при устойчивой нагрузке уровня 7. ## Выбор в одной таблице | Ваша ситуация | Схема | Обоснование | | --- | --- | --- | | Публикации, привлекающие жалобы на удаление | Напрямую, без CDN, в осознанно выбранной юрисдикции | CDN добавляет канал для жалоб, которого у вашего хостера намеренно нет | | Магазин или SaaS с реальными пользователями и нагрузкой уровня 7 | CDN спереди, источник закрыт только для его диапазонов | Уровень 7 — это именно та задача, для которой создан CDN | | Конечная точка обхода блокировок в стране с цензурой | Прикрытие через CDN | Цензор видит адрес, который не может позволить себе заблокировать | | Большой объём статического или медиатрафика | CDN для разгрузки через кеш | Суть в пропускной способности и задержке; скрытность — побочный эффект | | Анонимность — главное требование | Собственный фронт-узел или вообще ничего спереди | Сторонний аккаунт — это идентификационная запись, которой раньше не было | | Тяжёлый бэкенд, который стоит скрыть | Фронт-узел плюс исходящий туннель | Дорогая машина никогда не появляется в публичном интернете | ## Аккаунт — обычно самое слабое звено Рассмотрите ситуацию, когда инфраструктура безупречна, а бумажная сторона — нет. За сервер заплатили Monero, без документов, удостоверяющих личность, и без адреса электронной почты — схема, описанная на наших страницах о [хостинге без KYC](https://anonport.com/ru/no-kyc-hosting). Затем открывается аккаунт CDN с картой, личным адресом и номером телефона, с указанием домена, который он защищает. Этот аккаунт — более прочная и долговечная идентификационная запись, чем что-либо на сервере, и хранится он компанией, которая отвечает на повестки, — это полностью сводит на нет приватность оплаты. Исправление несложное, просто его легко забыть: если цель — анонимность, то либо фронт принадлежит вам, либо аккаунт перед ним настолько же одноразовый и неатрибутируемый, как и сервер за ним. [Опсек сервера](https://anonport.com/ru/guides/server-opsec-staying-anonymous) подробно разбирает эту дисциплину, а [наш честный ответ об анонимности офшорного хостинга](https://anonport.com/ru/guides/is-offshore-hosting-truly-anonymous) прямо говорит о том, какие звенья цепи обычно рвутся первыми. Почти никогда — технические. ## Проверка собственной уязвимости за десять минут Каждый из пунктов ниже — то, что заинтересованная сторона проверит в первые же минуты. Проверьте их сами, с машины, которая не является сервером, до того, как вам понадобятся ответы. - **Составьте список всех имён хостов, на которые вы когда-либо получали сертификат.** Найдите свой корневой домен в поисковике по Certificate Transparency и зарезолвьте каждый результат. Всё, что не указывает на фронт, — утечка, включая хосты, которыми вы больше не пользуетесь. - **Изучите собственную историю DNS.** Запрос к passive-DNS покажет адреса, в которые резолвился ваш домен до CDN. Если вчерашний источник — это и сегодняшний источник, скрытности никогда не было. - **Спросите источник напрямую.** curl -sI --resolve example.com:443:198.51.100.10 https://example.com/ — если сайт отвечает, ваш файрвол не ограничивает доступ фронтом, и любой, у кого есть адрес-кандидат, подтвердит это одним запросом. - **Спросите его грубо.** curl -skI https://198.51.100.10/ не должен вернуть ничего узнаваемого. Виртуальный хост по умолчанию, отдающий вашу главную страницу, — самая частая ошибка из всех перечисленных здесь. - **Проверьте все типы записей, а не только A.** dig +short AAAA example.com, dig +short MX example.com и то же самое для каждого поддомена, обнаруженного в журналах прозрачности. Непроксированный IPv6 — классика жанра. - **Отправьте себе письмо из приложения.** Запустите сброс пароля и прочитайте всю цепочку заголовков Received. Если адрес источника там есть, значит, он есть и в каждом письме, которое вы когда-либо отправляли. - **Убедитесь, что порты закрыты.** Из посторонней сети команда nmap -Pn -p80,443 198.51.100.10 должна показать filtered, а не open. - **Проверьте по сканерам.** Найдите отпечаток своего сертификата и хеш favicon главной страницы в публичном индексе сканирования интернета. Если ваш источник проиндексирован, именно так его и найдут. ## Если адрес уже сожжён Считайте, что он сожжён навсегда. Адрес, попавший в passive-DNS и в индексы сканирования, остаётся в постоянной публичной записи, и никакое изменение конфигурации это не отменит. Ответные действия — механические, а не хитрые. - **Сначала устраните утечку.** Переход на новый адрес без закрытия дыры воспроизведёт ту же ситуацию в течение нескольких дней, и вы потратите миграцию, ничему не научившись. - **Затем переезжайте.** Разверните замену — в другой юрисдикции, если причина была юридической, а не технической, — восстановите данные и переключитесь. Поскольку с первым сервером не была связана никакая личность, это чистый старт, а не переговоры, — практичный, неброский результат покупки серверов без истории аккаунта. - **Подготовьте переключение заранее, до чрезвычайной ситуации.** Короткий TTL DNS-записи, конфигурация, которую можно развернуть заново из репозитория, и протестированное восстановление превращают тяжёлый день в двадцать минут. Этим не занимаются во время атаки. - **Правильно выведите старый адрес из эксплуатации.** Не оставляйте старый сервер на старом адресе с тем же содержимым — это живое подтверждение для любого наблюдателя, и оно поддерживает запись свежей. ## Коротко Сетевая фильтрация справляется с объёмными атаками, идёт вместе с сервером и не стоит ничего сверх этого. CDN справляется с прикладным уровнем и скрывает источник ценой посредника, который терминирует ваш TLS, отвечает на жалобы и знает, кто вы. Собственный фронт-узел покупает скрытность без посредника, но без глобальной ёмкости. Юрисдикция решает правовой вопрос, и ни один из трёх вариантов его не затрагивает. И все три сводятся на нет одной непроксированной записью, одним письмом с источника или одним виртуальным хостом по умолчанию. Выбирайте исходя из цели, а не по привычке, а затем потратьте десять минут на аудит — он находит больше реальной уязвимости, чем любое обновление тарифа. Если вам нужна такая архитектура без третьей стороны, небольшой [VPS](https://anonport.com/ru/vps) в роли фронта и вся настоящая работа на [выделенном сервере](https://anonport.com/ru/dedicated) позади него — схема, которую мы чаще всего видим у тех, кого уже однажды нашли. FAQ ## IP исходного сервера и DDoS — частые вопросы ### 01 Скрывает ли CDN реальный IP-адрес моего сервера? Он скрывает его от клиентов, и в этом основная польза: посетители подключаются к CDN и никогда не видят ваш адрес. Он не скрывает адрес от уже существующих публичных записей, от всего, что ваш сервер отправляет наружу, или от сканеров всего интернета, способных сопоставить ваш источник по сертификату или главной странице. И работает это только в том случае, если ваш файрвол не даёт источнику отвечать никому, кроме CDN, — иначе адрес снова становится полезным после одного подтверждающего запроса. ### 02 Отменяет ли размещение Cloudflare или другого CDN перед сервером эффект хостинга, игнорирующего DMCA? На практике — да. CDN становится стороной вашего сервиса и имеет собственный процесс работы с жалобами: уведомления можно подавать напрямую на него, и обычно он пересылает их вам, называет вашего хостера или отказывается от вас как от клиента. Это заново соединяет цепочку удаления, ради разрыва которой и выбирают офшорный хостинг. Для контента, привлекающего жалобы, лучшая схема — прямой хостинг в осознанно выбранной юрисдикции с сетевой фильтрацией от DDoS, которая уже входит в сервер. ### 03 Достаточно ли защиты от DDoS на уровне 3/4 самой по себе? Для объёмных атак — тех, что забивают ваш канал, — да, и это единственный уровень защиты, который вообще может помочь, потому что он работает до того, как трафик доходит до вас. Он включён в каждый тариф с безлимитным трафиком, так что атака не обернётся ещё и счётом. Чего он не решает — это флуда уровня 7 из корректно оформленных запросов. Если один запрос к вашему приложению может вызвать сканирование базы данных или изменение размера изображения, риск именно там, и ответ — кеширование, ограничение частоты запросов и WAF, а не пакетная фильтрация. ### 04 Как находят исходный IP-адрес за CDN? Почти всегда это один из шести путей: журналы Certificate Transparency, раскрывающие непроксированные поддомены; архивы passive-DNS, хранящие адрес, который домен использовал до переезда; записи, которые нельзя проксировать, например почтовые серверы; исходящие соединения от самого сервера, включая заголовки собственных писем; сканирование всего интернета, сопоставляющее источник по сертификату или содержимому страницы; и само приложение, раскрывающее свой адрес через редиректы, эндпоинты статуса или виртуальный хост по умолчанию. Ни один из этих способов не требует особых навыков. ### 05 Можно ли использовать CDN и сохранить анонимность? Только если аккаунт настолько же анонимен, как и сервер, а это бывает редко. Аккаунт CDN содержит адрес электронной почты, способ оплаты и часто номер телефона, привязанные к вашему домену и хранящиеся бессрочно компанией, которая отвечает на правовые запросы. Если вы оплатили сервер в Monero без документов, удостоверяющих личность, а затем открыли аккаунт CDN с личной картой, теперь именно этот аккаунт — самая надёжная идентификационная запись во всей схеме. Либо держите фронт под собственным контролем, либо сделайте аккаунт таким же одноразовым, как и всё остальное. ### 06 Нужно ли всё это для небольшого сайта? Обычно нет. Небольшой сайт на сервере с сетевой фильтрацией, файрволом с запретом по умолчанию и без лишних сервисов — совершенно обычная и достаточно надёжная схема. Вопрос об источнике становится актуальным, когда есть конкретная причина скрывать машину: аудитория, включающая тех, кто мог бы её атаковать, бэкенд, который стоит дороже фронта, или контент, схему хостинга которого вы предпочли бы не афишировать. ### 07 Должен ли почтовый сервер работать на том же IP, что и сайт? Нет, и это один из самых распространённых способов раскрытия источника. Почта должна быть доступна по адресу, который нельзя проксировать, и каждое отправленное письмо несёт этот адрес в заголовках. Работа почты на отдельной машине не даёт веб-источнику попасть ни в одно отправленное письмо и ни в одну DNS-запись, которую можно запросить. Это также не позволяет проблеме с репутацией почты превратиться в проблему сайта. ### 08 Мой исходный IP уже утёк — что делать? Считайте адрес постоянно публичным, потому что архивы passive-DNS и сканеров сохраняют его навсегда. Сначала закройте утечку — будь то непроксированная запись, путь через электронную почту или виртуальный хост по умолчанию, — затем переходите на новый адрес и переключайтесь с заранее подготовленным коротким TTL DNS-записи. Не оставляйте старый сервер отвечающим на старом адресе с тем же содержимым. Поскольку ничто в исходном сервере не было привязано к личности, его замена — обычное развёртывание, а не переговоры с кем-либо. Похожие руководства ## Читайте также [### Как выбрать офшорную юрисдикцию для хостинга в 2026 году Перед покупкой Как выбрать офшорную юрисдикцию для хостинга: законы о хранении данных, MLAT, позиция по DMCA, скорость судов и реальное правоприменение по странам. FAQ из 6 вопросов](https://anonport.com/ru/guides/choosing-an-offshore-jurisdiction) [### VPS или выделенный сервер для приватных задач Перед покупкой Когда достаточно VPS, когда соседи по хосту — риск, а когда честный ответ только bare metal: изоляция железа, риск гипервизора, цена против модели угроз. FAQ из 6 вопросов](https://anonport.com/ru/guides/vps-vs-dedicated-for-privacy) [### Собственный VPN на VPS без KYC: WireGuard против OpenVPN Эксплуатация Почему свой VPN лучше коммерческого и как WireGuard и OpenVPN реально сравниваются по приватности, скорости и операционным рискам в 2026 году. FAQ из 6 вопросов](https://anonport.com/ru/guides/self-hosted-vpn-wireguard-vs-openvpn) [### RTX 4090 vs H100 для AI-инференса (и RTX 5090) Перед покупкой Какой GPU NVIDIA для self-hosted LLM, картинок, видео и речи в 2026: RTX 4090 vs RTX 5090 vs H100 SXM5 по VRAM, пропускной способности и $/токен. FAQ из 6 вопросов](https://anonport.com/ru/guides/rtx-4090-vs-h100-for-ai-inference) [### Офшорный Windows RDP для форекс-трейдинга MT4 / MT5 / cTrader Эксплуатация Зачем Windows RDP для форекса, как выбрать офшорную юрисдикцию с низкой задержкой, настройка MT4/MT5/cTrader и советников, пинг до брокера, оплата без KYC. FAQ из 6 вопросов](https://anonport.com/ru/guides/offshore-windows-rdp-for-forex-trading) [### Хостинг, игнорирующий DMCA: что это значит в 2026 Перед покупкой Что реально даёт хостинг с игнорированием DMCA, какие юрисдикции его обеспечивают, каким задачам он нужен и какие ловушки авторского права он не закрывает. FAQ из 6 вопросов](https://anonport.com/ru/guides/dmca-ignored-hosting-explained) [### Анонимная регистрация домена за крипту — гайд 2026 Конфиденциальность Регистрация домена без раскрытия личности: правила WHOIS по TLD, выбор регистратора, оплата криптовалютой и операционные ошибки, которые всё равно вас выдают. FAQ из 6 вопросов](https://anonport.com/ru/guides/anonymous-domain-registration-with-crypto) [### Криптоплатежи за хостинг: Monero против Bitcoin против USDT Конфиденциальность Как монета, которой вы платите, меняет то, что хостер узнаёт о вас: приватность, комиссии, финальность и риск анализа цепочки для XMR, BTC и USDT. FAQ из 6 вопросов](https://anonport.com/ru/guides/crypto-payments-monero-vs-bitcoin-vs-usdt) [### Действительно ли офшорный хостинг анонимен? Честный ответ Конфиденциальность Офшорный хостинг без KYC убирает личность, которую собирает обычный хостер, но анонимность зависит от оплаты, логов и вашего OpSec. Что отслеживаемо. FAQ из 6 вопросов](https://anonport.com/ru/guides/is-offshore-hosting-truly-anonymous) [### Первый час защиты VPS: чек-лист Эксплуатация Упорядоченный чек-лист защиты нового VPS за час: SSH-ключи, файрвол, fail2ban, автообновления и сокращение поверхности атаки против массовых сканеров. FAQ из 6 вопросов](https://anonport.com/ru/guides/first-hour-vps-hardening-checklist) [### Что такое хостинг без KYC? Определение и законность Конфиденциальность Хостинг без KYC — аренда сервера без проверки личности: ни имени, ни email, ни документов. Что это значит, как работает, законно ли и как выбрать. FAQ из 6 вопросов](https://anonport.com/ru/guides/what-is-no-kyc-hosting) [### Законен ли офшорный хостинг? Честный ответ 2026 года Перед покупкой Офшорный хостинг законен — для вас и для провайдера. Что значит термин, где юридическая граница, какие мифы отбросить, как пользоваться ответственно. FAQ из 6 вопросов](https://anonport.com/ru/guides/is-offshore-hosting-legal) [### Как оплатить хостинг через Monero (XMR) — пошагово Конфиденциальность Пошагово: оплата VPS или выделенного сервера в Monero (XMR). Почему XMR — самый приватный вариант, где его взять и как проходит оплата от счёта до сервера. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-pay-for-hosting-with-monero) [### Как анонимно разместить сайт — практическое руководство 2026 Конфиденциальность Послойное руководство по хостингу сайта без привязки личности: аккаунт, оплата, домен, юрисдикция, ваше подключение и контент — каждый слой разобран. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-host-a-website-anonymously) [### Как настроить WireGuard VPN на VPS — пошаговое руководство Эксплуатация Свой приватный VPN на VPS с WireGuard: почему self-hosted лучше коммерческого, полная настройка от установки до подключённого клиента и как её укрепить. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-set-up-wireguard-vpn-on-a-vps) [### Как развернуть LLM на GPU-сервере — гайд 2026 Эксплуатация Своя LLM на арендованном GPU-сервере: почему self-hosting выгоднее API, какой GPU и модель выбрать, настройка через Ollama или vLLM и сколько это стоит. FAQ из 6 вопросов](https://anonport.com/ru/guides/self-host-an-llm-on-a-gpu-server) [### Bulletproof-хостинг против офшорного хостинга — в чём разница? Перед покупкой Bulletproof-хостинг и офшорный хостинг постоянно путают, хотя это разные вещи. В чём реальная разница, почему это важно и что вам на самом деле нужно. FAQ из 6 вопросов](https://anonport.com/ru/guides/bulletproof-vs-offshore-hosting) [### Как купить VPS за Bitcoin — пошаговая инструкция (2026) Перед покупкой Понятная инструкция по покупке VPS за Bitcoin: как получить BTC, выбрать тариф, оплатить счёт и получить сервер без карты и без имени. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-buy-a-vps-with-bitcoin) [### Лучшие страны для хостинга, игнорирующего DMCA, в 2026 году Перед покупкой Где хостить, чтобы быть вне лёгкой досягаемости американских takedown-запросов: какие юрисдикции работают, что значит DMCA-ignored и как выбрать. FAQ из 6 вопросов](https://anonport.com/ru/guides/best-countries-for-dmca-ignored-hosting) [### Как разместить скрытый сервис Tor (.onion) — 2026 Эксплуатация Onion-сервис Tor на VPS: что такое скрытый сервис, почему это самая сильная форма анонимного хостинга, полная настройка и как сохранить анонимность. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-host-a-tor-hidden-service) [### Офшорный почтовый сервер — своя приватная почта Эксплуатация Свой приватный почтовый сервер на офшорном VPS: зачем self-host, что нужно, реалистичная настройка mail-стека «всё в одном» и как добиться доставляемости. FAQ из 6 вопросов](https://anonport.com/ru/guides/offshore-mail-server-setup) [### Хостинг криптонод — блокчейн-нода на VPS Эксплуатация Как разместить блокчейн-ноду на сервере: зачем своя нода, подбор сервера для Bitcoin, Ethereum, Monero и других, настройка и сохранение приватности. FAQ из 6 вопросов](https://anonport.com/ru/guides/crypto-node-hosting-guide) [### GPU-хостинг для Stable Diffusion — свой сервер генерации Эксплуатация Stable Diffusion на своём GPU-сервере: зачем self-host генерации картинок, какой GPU выбрать, настройка веб-интерфейса и цена против облачного сервиса. FAQ из 6 вопросов](https://anonport.com/ru/guides/gpu-hosting-for-stable-diffusion) [### OpSec сервера — как оставаться анонимным Конфиденциальность Операционная безопасность для тех, кто держит анонимный сервер: ошибки, которые деанонимизируют, привычки, которые их предотвращают, разделение личностей. FAQ из 6 вопросов](https://anonport.com/ru/guides/server-opsec-staying-anonymous) [### Настройка сидбокса — свой приватный seedbox в 2026 Эксплуатация Как собрать свой seedbox на сервере: что это, как подобрать ресурсы, установка торрент-клиента с веб-интерфейсом и как сохранить приватность и безопасность. FAQ из 6 вопросов](https://anonport.com/ru/guides/seedbox-setup-guide) [### Как обойти DPI-цензуру с помощью собственного VPS (гайд 2026) Конфиденциальность Обход DPI-цензуры со своим VPS: что реально видит глубокая инспекция пакетов, какой протокол пробивает какую блокировку, полная настройка VLESS+REALITY. FAQ из 6 вопросов](https://anonport.com/ru/guides/bypass-dpi-censorship-with-your-own-vps) [### Полнодисковое шифрование VPS: настройка LUKS Эксплуатация Шифрование VPS с LUKS: шифрованные тома, полное шифрование с удалённой разблокировкой по SSH, важные настройки для малого сервера и что это реально даёт. FAQ из 8 вопросов](https://anonport.com/ru/guides/full-disk-encryption-on-a-vps) [### Бэкапы VPS: шифрование, второй провайдер, восстановление Эксплуатация Хостер не хранит бэкапы. Что реально уничтожает серверы, почему push-бэкапы гибнут вместе с ними, restic vs Borg, забытые ключи и тест восстановления. FAQ из 8 вопросов](https://anonport.com/ru/guides/vps-backup-strategy) [### Свой сервер Matrix: федерация, метаданные и E2EE Эксплуатация Что реально даёт homeserver Matrix: Synapse vs Conduit, server_name, который нельзя сменить, медиа, съедающие диск, и что федерация всё равно раскрывает. FAQ из 8 вопросов](https://anonport.com/ru/guides/self-host-a-matrix-server) [### Как перенести сайт на офшорный хостинг без простоя Эксплуатация Правильный переезд хостинга: заранее снизить TTL DNS, запустить оба сервера параллельно, заморозить запись на минуты, убрать следы в passive-DNS, CT и WHOIS. FAQ из 8 вопросов](https://anonport.com/ru/guides/migrate-website-to-offshore-hosting) [### Как развернуть свой криптоплатёжный шлюз на BTCPay Server Эксплуатация Некастодиальный приём оплаты на офшорном VPS с BTCPay Server, pruned-нодой Bitcoin, Lightning и Monero: размер диска, ключи и где снова возникает KYC. FAQ из 8 вопросов](https://anonport.com/ru/guides/self-host-a-crypto-payment-gateway) [### Защита VPS от DDoS: где кончается хостер и начинается L7 Эксплуатация Хостер фильтрует пакетные флуды, флуды запросов — ваши. Как работает очистка L3/L4, почему L7 проходит сквозь неё, какие кэш и лимиты держат сервер. FAQ из 8 вопросов](https://anonport.com/ru/guides/surviving-a-ddos-attack-on-your-vps) [### Лучшие офшорные хостинги 2026: сравнение 12 провайдеров Перед покупкой Сравнение 12 офшорных и анонимных хостингов: данные при регистрации, Monero, юрисдикции, политика DMCA и bare-metal, а также в чём проигрывает AnonPort. FAQ из 6 вопросов](https://anonport.com/ru/guides/best-offshore-hosting-providers) ## Поставьте нужный уровень защиты перед нужным сервером Сетевая фильтрация от DDoS и безлимитный трафик в каждом тарифе, в семи офшорных юрисдикциях. Разверните фронт-узел за пару долларов в месяц и держите настоящую работу позади него — без KYC, только криптовалюта. [Тарифы VPS](https://anonport.com/ru/vps) [DMCA игнорируется](https://anonport.com/ru/dmca-ignored-hosting) [Приватный хостинг](https://anonport.com/ru/anonymous-hosting) ## Structured data (JSON-LD) ```json { "@context": "https://schema.org", "@type": "Organization", "@id": "https://anonport.com/#organization", "name": "AnonPort", "url": "https://anonport.com", "description": "Офшорные VPS и выделенные серверы в 7 юрисдикциях. Без KYC, без логов, только криптовалюта. Приватность — не функция, а архитектура.", "logo": { "@type": "ImageObject", "url": "https://anonport.com/icon-512.png", "width": 512, "height": 512, "caption": "AnonPort" }, "image": "https://anonport.com/assets/img/og-image.jpg", "foundingDate": "2025", "areaServed": [ { "@type": "Country", "name": "Iceland" }, { "@type": "Country", "name": "Panama" }, { "@type": "Country", "name": "Moldova" }, { "@type": "Country", "name": "Romania" }, { "@type": "Country", "name": "Switzerland" }, { "@type": "Country", "name": "Netherlands" }, { "@type": "Country", "name": "Russia" } ], "knowsAbout": [ "Offshore hosting", "Offshore VPS", "Bare-metal dedicated servers", "DMCA-ignored hosting", "No KYC hosting", "Cryptocurrency payments", "Privacy engineering", "Token-based authentication", "Anonymous domain name registration", "No-KYC domain registrar", "WHOIS privacy", "Cheap .com domains", "Crypto-paid domain names", "NVIDIA GPU compute", "Windows RDP hosting", "Agentic commerce" ], "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "url": "https://anonport.com/contact", "availableLanguage": [ "en", "ru", "zh" ] } } ``` ```json { "@context": "https://schema.org", "@type": "WebSite", "@id": "https://anonport.com/#website", "url": "https://anonport.com", "name": "AnonPort", "publisher": { "@id": "https://anonport.com/#organization" }, "inLanguage": [ "en", "ru", "zh" ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "headline": "Скрытие IP исходного сервера: CDN, обратный прокси и утечки", "description": "Ставить ли CDN перед офшорным сервером: что он скрывает, какой канал для жалоб вы получаете взамен, шесть способов утечки исходного IP и как проверить свой.", "image": "https://anonport.com/assets/img/guides/hiding-your-origin-server-ip.webp?v=1787175673", "author": { "@type": "Organization", "@id": "https://anonport.com/#editorial", "name": "AnonPort Editorial", "url": "https://anonport.com/about", "description": "Operator-side editorial team writing about offshore hosting jurisdictions, offshore server architecture, self-hosted privacy stacks and crypto payments.", "knowsAbout": [ "Offshore hosting jurisdictions", "Data retention law", "MLAT and judicial cooperation", "WireGuard and OpenVPN deployment", "Tor relay operation", "Monero and Bitcoin payment privacy", "KVM virtualization and bare-metal hosting", "DMCA-ignored hosting" ], "parentOrganization": { "@id": "https://anonport.com/#organization" } }, "publisher": { "@id": "https://anonport.com/#organization" }, "datePublished": "2026-08-19T00:00:00+00:00", "dateModified": "2026-08-19T00:00:00+00:00", "mainEntityOfPage": "https://anonport.com/guides/hiding-your-origin-server-ip", "inLanguage": "ru", "keywords": "hide origin server IP, origin IP leak, Cloudflare offshore hosting, DDoS protection offshore VPS, reverse proxy hide origin, L7 DDoS mitigation, certificate transparency origin leak, lock origin to CDN IP ranges", "articleSection": "Конфиденциальность", "wordCount": 3258 } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Скрывает ли CDN реальный IP-адрес моего сервера?", "acceptedAnswer": { "@type": "Answer", "text": "Он скрывает его от клиентов, и в этом основная польза: посетители подключаются к CDN и никогда не видят ваш адрес. Он не скрывает адрес от уже существующих публичных записей, от всего, что ваш сервер отправляет наружу, или от сканеров всего интернета, способных сопоставить ваш источник по сертификату или главной странице. И работает это только в том случае, если ваш файрвол не даёт источнику отвечать никому, кроме CDN, — иначе адрес снова становится полезным после одного подтверждающего запроса." } }, { "@type": "Question", "name": "Отменяет ли размещение Cloudflare или другого CDN перед сервером эффект хостинга, игнорирующего DMCA?", "acceptedAnswer": { "@type": "Answer", "text": "На практике — да. CDN становится стороной вашего сервиса и имеет собственный процесс работы с жалобами: уведомления можно подавать напрямую на него, и обычно он пересылает их вам, называет вашего хостера или отказывается от вас как от клиента. Это заново соединяет цепочку удаления, ради разрыва которой и выбирают офшорный хостинг. Для контента, привлекающего жалобы, лучшая схема — прямой хостинг в осознанно выбранной юрисдикции с сетевой фильтрацией от DDoS, которая уже входит в сервер." } }, { "@type": "Question", "name": "Достаточно ли защиты от DDoS на уровне 3/4 самой по себе?", "acceptedAnswer": { "@type": "Answer", "text": "Для объёмных атак — тех, что забивают ваш канал, — да, и это единственный уровень защиты, который вообще может помочь, потому что он работает до того, как трафик доходит до вас. Он включён в каждый тариф с безлимитным трафиком, так что атака не обернётся ещё и счётом. Чего он не решает — это флуда уровня 7 из корректно оформленных запросов. Если один запрос к вашему приложению может вызвать сканирование базы данных или изменение размера изображения, риск именно там, и ответ — кеширование, ограничение частоты запросов и WAF, а не пакетная фильтрация." } }, { "@type": "Question", "name": "Как находят исходный IP-адрес за CDN?", "acceptedAnswer": { "@type": "Answer", "text": "Почти всегда это один из шести путей: журналы Certificate Transparency, раскрывающие непроксированные поддомены; архивы passive-DNS, хранящие адрес, который домен использовал до переезда; записи, которые нельзя проксировать, например почтовые серверы; исходящие соединения от самого сервера, включая заголовки собственных писем; сканирование всего интернета, сопоставляющее источник по сертификату или содержимому страницы; и само приложение, раскрывающее свой адрес через редиректы, эндпоинты статуса или виртуальный хост по умолчанию. Ни один из этих способов не требует особых навыков." } }, { "@type": "Question", "name": "Можно ли использовать CDN и сохранить анонимность?", "acceptedAnswer": { "@type": "Answer", "text": "Только если аккаунт настолько же анонимен, как и сервер, а это бывает редко. Аккаунт CDN содержит адрес электронной почты, способ оплаты и часто номер телефона, привязанные к вашему домену и хранящиеся бессрочно компанией, которая отвечает на правовые запросы. Если вы оплатили сервер в Monero без документов, удостоверяющих личность, а затем открыли аккаунт CDN с личной картой, теперь именно этот аккаунт — самая надёжная идентификационная запись во всей схеме. Либо держите фронт под собственным контролем, либо сделайте аккаунт таким же одноразовым, как и всё остальное." } }, { "@type": "Question", "name": "Нужно ли всё это для небольшого сайта?", "acceptedAnswer": { "@type": "Answer", "text": "Обычно нет. Небольшой сайт на сервере с сетевой фильтрацией, файрволом с запретом по умолчанию и без лишних сервисов — совершенно обычная и достаточно надёжная схема. Вопрос об источнике становится актуальным, когда есть конкретная причина скрывать машину: аудитория, включающая тех, кто мог бы её атаковать, бэкенд, который стоит дороже фронта, или контент, схему хостинга которого вы предпочли бы не афишировать." } }, { "@type": "Question", "name": "Должен ли почтовый сервер работать на том же IP, что и сайт?", "acceptedAnswer": { "@type": "Answer", "text": "Нет, и это один из самых распространённых способов раскрытия источника. Почта должна быть доступна по адресу, который нельзя проксировать, и каждое отправленное письмо несёт этот адрес в заголовках. Работа почты на отдельной машине не даёт веб-источнику попасть ни в одно отправленное письмо и ни в одну DNS-запись, которую можно запросить. Это также не позволяет проблеме с репутацией почты превратиться в проблему сайта." } }, { "@type": "Question", "name": "Мой исходный IP уже утёк — что делать?", "acceptedAnswer": { "@type": "Answer", "text": "Считайте адрес постоянно публичным, потому что архивы passive-DNS и сканеров сохраняют его навсегда. Сначала закройте утечку — будь то непроксированная запись, путь через электронную почту или виртуальный хост по умолчанию, — затем переходите на новый адрес и переключайтесь с заранее подготовленным коротким TTL DNS-записи. Не оставляйте старый сервер отвечающим на старом адресе с тем же содержимым. Поскольку ничто в исходном сервере не было привязано к личности, его замена — обычное развёртывание, а не переговоры с кем-либо." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Главная", "item": "https://anonport.com/ru/" }, { "@type": "ListItem", "position": 2, "name": "Руководства по приватному хостингу", "item": "https://anonport.com/ru/guides" }, { "@type": "ListItem", "position": 3, "name": "Скрытие IP исходного сервера: CDN, обратный прокси и утечки", "item": "https://anonport.com/ru/guides/hiding-your-origin-server-ip" } ] } ```